Web 應用程式是許多網路犯罪分子的首要攻擊目標，攻擊者會尋找登入頁面、API 端點與檔案上傳欄位等切入點。傳統網路防火牆無法分析網路流量內容，因此難以偵測並阻擋這類攻擊。Web Application Firewall（WAF）正好可以補足這項缺口。

Web Application Firewall 會檢查、過濾並阻擋使用者與 Web 應用程式之間的 HTTP 與 HTTPS 流量。WAF 位於用戶端至 Web 應用程式伺服器的流量路徑上，會檢查流量內容，包括 URL 參數、標頭、Cookie 與要求本文，而不只是來源與目的地位址。

本文將說明 WAF 能提供哪些安全防護，以及如何思考適合您組織的做法。

WAF 能提供哪些安全防護？

WAF 主要執行以下三項核心功能：

⁃         使用一組規則過濾進出流量。

⁃         監控要求與回應，尋找可疑模式。

⁃         阻擋符合已知攻擊特徵或呈現異常行為的流量。

透過這些功能，WAF 能在攻擊抵達後端應用程式伺服器之前加以阻擋，而不是完全依賴應用程式本身正確偵測並處理惡意要求與資料。

WAF 為何在第 7 層運作？

WAF 在網路模型的第 7 層，也就是應用程式層運作。這一點很重要，因為 Web 流量（HTTP 訊息）位於應用程式層，能夠在此進行檢查。傳統防火牆可以判斷網路封包正前往 443 連接埠；WAF 則能進一步檢查封包內容，偵測惡意活動，例如要求資料中包含 SQL injection 有效負載。

WAF 在網路模型的第 7 層，也就是應用程式層運作。這一點很重要，因為 Web 流量（HTTP 訊息）位於應用程式層，能夠在此進行檢查。傳統防火牆可以判斷網路封包正前往 443 連接埠；WAF 則能進一步檢查封包內容，偵測惡意活動，例如要求資料中包含 SQL injection 有效負載。

WAF 與其他技術的差異

傳統防火牆在第 2 至第 4 層運作，根據 IP 位址、連接埠與通訊協定過濾流量。它們能有效阻擋未經授權的網路存取，但無法查看連線內部的內容。WAF 與傳統防火牆解決的是不同問題，但網路安全仍需要兩者。這是兩種彼此互補的獨立技術。

WAF 安全防護為何重要？

在您的防禦架構中加入 WAF 安全防護，可帶來多項好處，包括：

深度防禦模型的一環

WAF 是更廣泛安全堆疊中的一層，而非獨立的安全控制措施。深度防禦是指建立多層彼此獨立的防護，確保其中一層失效時，不會讓應用程式完全暴露。WAF 負責應用程式層的檢查，網路防火牆、存取控制與驗證系統則涵蓋其他層面。

保護敏感資料

Web 應用程式經常處理客戶資料、付款資訊與企業內部資訊。WAF 能協助防止攻擊者利用 SQL injection 等漏洞，或透過遭破壞的存取控制機制入侵並竊取資料。

為何需要 WAF：以應用程式為目標的攻擊日益增加

攻擊者越來越常以應用程式層為目標，而非網路邊界。這是因為應用程式暴露出更大的攻擊面，例如表單、API、檔案上傳功能與第三方整合，而每一項都可能成為入侵點。WAF 可讓安全團隊掌握並控制這些攻擊面。

合規要求

PCI DSS v4.0 等標準要求，凡是處理支付卡資料的對外公開 Web 應用程式，都必須部署 WAF 或同等控制措施（請參閱 PCI DSS v4.0 第 6.4.2 小節）。PCI DSS 稽核人員通常會檢查三項能力：偵測威脅、記錄偵測事件，以及阻擋流量。

因規定而部署 WAF

許多團隊部署 WAF，是因為特定政策或法規架構要求，而不是因為已建立完整的安全計畫。這可以作為起點，但更好的做法是將 WAF 視為主動提升 Web 應用程式安全性的措施。Progress Kemp LoadMaster WAF 搭配 LoadMaster 360 工具，讓非安全專業人員也能快速建置符合規範的 WAF，並隨著安全計畫成熟逐步擴充。

WAF 安全防護如何運作？

WAF 會運用多種技術提升 Web 應用程式的安全性。

反向 Proxy 部署位置

WAF 通常會以反向 Proxy的形式部署在應用程式前方，在每個要求抵達後端伺服器前先行攔截。這種部署方式讓 WAF 能檢查流量並執行防護，而不需要修改任何 Web 應用程式程式碼。

以政策與規則為基礎的過濾

WAF 會根據一組規則與政策評估每個要求（也可以選擇檢查每個回應）。這些規則通常會定義「正常」流量的樣貌，以及哪些情況應觸發阻擋要求、通知管理員或寫入記錄。

阻擋或允許流量

視設定方式而定，WAF 可能會阻擋符合偵測規則的異常流量（「負向安全模型」），或只允許符合已知良好模式的流量（「正向安全模型」）。

正向安全模型會定義預期且可接受的流量樣貌，並預設阻擋其他所有流量，因此所有未預期或不可接受的流量都會自動遭到阻擋。負向安全模型則採取相反做法：定義已知惡意流量的樣貌，只阻擋符合這些條件的流量。大多數 WAF 部署會混合使用正向與負向安全模型。

要求檢查與威脅偵測

WAF 會檢查要求結構、有效負載內容與行為模式，並與 OWASP Core Rule Set 等規則集比對，以偵測包括 SQL injection、跨網站指令碼（cross-site scripting）、遠端程式碼執行嘗試等攻擊。

異常分數

較成熟的 WAF 通常不會在單一偵測規則符合時立即阻擋，而是為要求指定異常分數（5.5 分鐘概覽影片），針對每項可疑特徵累積分數。當分數達到預先定義的門檻時，WAF 才會採取行動。相較於嚴格的單一規則阻擋方式，這能減少誤判，也更容易操作。

LoadMaster Web Application Firewall（WAF）

LoadMaster 平台直接將 WAF 功能整合至負載平衡平台，並以 OWASP Core Rule Set 作為基礎。LoadMaster WAF 以反向 Proxy 方式運作，結合負載平衡功能，因此能在單一位置檢查並分配 Web 流量，不必在所有後端伺服器上分別部署安全端點。這種「內嵌式」WAF 部署模型，與 LoadMaster 所採用、簡單許多的反向 Proxy 模型正好相反。

管理 WAF 安全防護

持續管理與運作 WAF，包括檢閱記錄、調整規則敏感度，以及隨著應用程式變更持續調整設定、排除誤判。這時，LoadMaster 360 等自動化智慧工具便能發揮作用，協助您掌握 WAF 正在攔截與標記的內容，不需要深厚的安全專業知識，也不必手動解讀 WAF 資料。

WAF 安全防護的主要功能與能力

 WAF 提供以下主要安全功能：

⁃ 威脅情報 – 規則集會持續更新，以涵蓋新的與正在出現的攻擊模式，例如 OWASP Core Rule Set。

⁃ 自訂與建立規則 – 針對通用規則集未涵蓋的應用程式專屬邏輯撰寫自訂規則。

⁃ 關聯引擎 – 串聯相關的偵測事件，以攔截多步驟攻擊並釐清複雜的誤判。

⁃ 應用程式交付控制器整合 – 將 WAF 防護與應用程式交付結合，提升安全性、擴充性與效能。

需要協助設定或調整上述功能的組織，可以運用訓練、顧問與專業服務，不必完全在內部自行建立相關專業能力。

WAF 安全模型

如前所述，部署與設定 WAF 時，可以採用多種安全模型。

正向安全模型（Allow-list）

正向模型會定義合法流量的樣貌，並阻擋所有不符合的流量。這種模型能針對未知流量與攻擊提供非常強的防護，但需要事先投入時間定義允許的流量模式。如果基準不完整，也可能導致合法流量遭到阻擋。

負向安全模型（Deny-list）

負向模型會阻擋符合已知攻擊行為與模式的流量，並允許其他流量通過。由於可依賴預先建立的規則集，因此部署速度較快；但對於不符合現有模式或行為的新型攻擊，可能無法偵測。

Denylist 與 Allowlist：兩者差異

Denylist 類型的做法假設流量在未證明有害前都是良性的，適合流量變化較大的一般 Web 與應用程式流量。Allowlist 做法則相反，假設流量在未證明合法前都是有害的，適合預期流量模式明確且定義狹窄的應用程式。

混合模型

大多數正式環境會採用混合方式：使用負向模型廣泛偵測已知攻擊模式，再使用正向模型更嚴格地保護特定高價值應用程式頁面，例如登入頁面或付款服務。這種混合方式兼顧部署速度與防護深度，因此在實務上相當普遍。

WAF 的現代使用情境

防範 OWASP Top 10 漏洞

OWASP Top 10 列出最常見且最嚴重的 Web 應用程式安全風險，包括 injection 攻擊、存取控制失效與安全設定錯誤。正確設定的 WAF 能直接處理這些類別及其他常見攻擊類型。

API 防護

API 會直接公開應用程式邏輯，輸入驗證程度可能低於面向使用者的 Web 表單。WAF 可將檢查範圍延伸至 API 流量，包括 JSON 有效負載與驗證權杖，而不只是傳統 HTML 表單提交與頁面要求。

保護微服務與雲端應用程式

以微服務架構建立的現代應用程式，通常會公開比傳統單體式應用程式更多的軟體端點。將 WAF 部署在此架構的邊界位置，可提供一致的安全層，而不必要求每個微服務各自實作防護。

WAF 與其他安全工具的比較

WAF 與 Firewall

傳統防火牆根據 IP、連接埠與網路通訊協定，在網路層過濾流量。WAF 則根據要求內容，在應用程式層過濾流量。兩者防護的是不同的攻擊向量。

WAF 與 IDS/IPS 

入侵偵測或防護系統會監控整個網路的流量，針對多種通訊協定偵測已知攻擊特徵。WAF 則專注於 Web 應用程式與 API 的 HTTP/HTTPS 流量，執行更深入且複雜的檢查。WAF 通常會尋找 Web 流量中的異常行為，不會像 IDS 或防毒掃描器一樣，僅受限於以特徵碼為基礎的偵測。

兩者如何互補：

將防火牆、IDS/IPS 與 WAF 分層部署，可涵蓋整個網路堆疊，提供廣泛的威脅偵測與應用程式專屬安全防護。沒有任何單一工具能獨自提供完美安全性，或涵蓋所有安全面向。

WAF 部署類型

WAF 部署可以配合各種網路架構與應用程式部署模型。WAF 主要有三種類型：

網路型 WAF

網路型 WAF 通常採用反向 Proxy 或負載平衡器的形式，內建 WAF 引擎，並在 Web 流量通過時進行掃描。LoadMaster WAF 即屬於此類型。

網路型 WAF 會以網路上的獨立設備形式運作，可以在內部部署為實體硬體設備，也可以作為虛擬機器部署到 Hypervisor 或雲端環境中。

由於網路型 WAF 通常位於受保護伺服器附近，因此能提供低延遲與完整的本機控制。當組織需要考量資料主權與資料保護合規性時，這點尤其重要。

主機型／內嵌式 WAF

主機型 WAF 會直接內嵌在其防護的 Web 伺服器上。在多伺服器部署環境中，這種方式的優點是 WAF 層的運算負載會自然分散至所有作用中的 Web 伺服器。缺點是多個規模較小的 WAF 需要額外的工具與協調機制才能進行管理。

請注意，所有個別記錄輸出可能都需要彙整，設定必須保持一致並同步，WAF 規則及其更新也必須推送至每個節點，此外可能還需要儀表板等功能。這些額外的運作需求不容忽視。

雲端型 WAF

雲端型 WAF 以服務形式運作，通常由公有雲服務供應商或 CDN 提供。這類 WAF 能快速部署，不需要管理硬體或虛擬機器。但不同供應商的更新頻率差異很大。有些供應商能即時因應新興威脅；另一些供應商，包括部分大型供應商，則因偵測規則更新落後數年而受到批評。

相較於其他 WAF 類型，雲端 WAF 大幅簡化了部署與操作，但也會犧牲部分功能，以換取易用性。因此，其彈性較低，通常幾乎沒有自訂能力。定價模式往往依要求數量或資料量計算，流量突然增加時，可能產生預期之外的高額費用。

LoadMaster Web Application Firewall（WAF）

LoadMaster WAF 屬於網路型 WAF，直接整合至負載平衡器中。它能在不承擔內嵌式解決方案額外負擔與複雜度的情況下，提供可預期的效能與成本，同時具備雲端專屬選項通常缺少的功能、規則自訂能力與彈性。

實作 WAF 安全防護的最佳實務

實作 WAF 解決方案時，可參考以下安全最佳實務：

• 依據流量特性選擇適合的模型：負向模型適合廣泛涵蓋，正向模型適合高價值端點，多數正式環境則適合採用混合模型。
• 持續監控並調整政策，不要將初始設定視為一次性工作。
• 透過調整規則，以及在了解應用程式正常流量樣貌後建立應用程式專屬例外，降低誤判。
• 運用平台層級的可視性：LoadMaster 360 可提供跨部署環境的 WAF 活動整合檢視，讓調整工作比手動翻閱文字記錄容易許多。
• 支援 DevSecOps 工作流程，將 WAF 政策變更整合至現有部署管線，而不是將其視為獨立且互不連結的流程。

準備提升 WAF 安全防護了嗎？

WAF 仍是應用程式安全的核心元件，因為它能處理網路防火牆無法涵蓋的層級。將經過妥善調整的 WAF 納入深度防禦策略後，便能封閉現代組織暴露在網際網路上的最大攻擊面之一。

準備親自體驗了嗎？申請免費試用：

⁃ 容易部署與設定 – 使用設定範本與部署指南，快速完成啟用。

⁃ 卓越的全天候客戶支援 – 試用期間即可完整使用我們廣受好評的技術支援。

⁃ 廣泛的平台支援 – LoadMaster 解決方案支援更多平台，包括硬體、虛擬與雲端。一組 WAF 設定即可用於整個 IT 環境，包括內部部署與雲端環境。

WAF 安全防護常見問題

什麼是 Web Application Firewall（WAF）？

WAF 是一種安全工具，會檢查、過濾並阻擋用戶端裝置與 Web 應用程式之間的 HTTP/HTTPS 流量。它在應用程式層運作，能攔截網路層工具無法看見的威脅。

為什麼 WAF 安全防護對現代應用程式很重要？

現代應用程式透過 Web 表單、API 與整合功能暴露出大範圍的攻擊面。WAF 能讓安全團隊掌握並控制這些攻擊面，在攻擊抵達應用程式程式碼前先行攔截。

WAF 與傳統防火牆有何不同？

傳統防火牆根據 IP、連接埠與通訊協定，在網路層過濾流量。WAF 則根據要求或連線的內容，在應用程式層過濾流量。

有哪些 WAF 部署類型？

包括網路型（硬體設備或虛擬機器）、主機型／內嵌式（部署於應用程式或伺服器內的軟體），以及雲端型（以服務形式提供）。LoadMaster 負載平衡平台內含網路型 WAF 與功能完整的應用程式交付控制器（ADC）。

雲端型 WAF 與內部部署 WAF 各有哪些優缺點？ 雲端 WAF 不需要管理硬體，部署速度快，但自訂能力很少或完全沒有，且大規模運作時可能產生難以預測的成本。內部部署 WAF 的前期成本較高，也需要專用基礎架構，但能提供完整控制權與可預期的效能。LoadMaster 解決方案可部署在內部環境與公有雲中，提供最大的彈性。

WAF 如何防範 OWASP Top 10 漏洞？

WAF 會檢查網路流量中與 injection 攻擊、存取控制失效及其他 OWASP Top 10 類別相關的行為與模式，並在這些流量抵達後端應用程式前加以阻擋或標記。

WAF 中的 blocklist 與 allowlist 安全模型有何不同？

Blocklist（負向模型）預設允許大多數流量，只阻擋已知的惡意模式。Allowlist（正向模型）預設阻擋大多數流量，只允許已辨識且合法的模式通過。

WAF 能協助防範 DDoS 攻擊嗎？

不能。如果真正的 DDoS 攻擊已經抵達您的 WAF，通常就已經太遲。WAF 能防護的是利用要求處理漏洞發動的應用程式層攻擊。DDoS 緩解需要使用專門工具吸收或過濾大量流量洪水；理想情況下，應在 ISP 或 CDN 層級進行，因為這些業者應具備足夠頻寬來實施有效防禦。